ФСТЭК обновила требования к защите персональных данных
Федеральная служба по техническому и экспортному контролю (ФСТЭК) опубликовала 24 июля на портале regulation.gov.ru проект приказа, который утверждает новый состав организационных и технических мер по защите персональных данных в информационных системах. Ожидается, что приказ вступит в силу с 1 сентября 2026 года.
Новый проект впервые переносит требования на все информсистемы, которые работают с персональными данными. Вместо жесткого перечня мер, который был закреплен в предшествующем приказе от 2013 года, операторам предлагают гибкую трехуровневую схему. Для каждого уровня определен базовый набор мер, который оператор данных сможет адаптировать под архитектуру своих ИТ-систем и применяемые технологии. Затем компания должна будет проверять, действительно ли выбранные меры закрывают актуальные для этой системы угрозы.
Подробнее — в материале «Ъ» «Индивидуальный подход к безопасности»
Введение новых требований ФСТЭК является частью более широкой тенденции ужесточения регулирования информационной безопасности в России, особенно после начала военных действий на Украине в 2022 году, когда российская IT-инфраструктура, включая госсектор, подверглась масштабным кибератакам. Заметно возрос спрос на квалифицированных специалистов по информационной безопасности, и отмечается дефицит кадров.
Ранее ФСТЭК уже разрабатывала новые требования к защите информации для госорганов и компаний критической информационной инфраструктуры (КИИ), обязывая их, например, три года хранить данные о сетевых атаках и расширять каналы для пропуска трафика. Также ведомство представило правила оценки защищенности госорганов и КИИ, которые предполагают регулярное предоставление данных о состоянии их объектов. Кроме того, с 1 января 2025 года на значимых объектах КИИ запрещено использование иностранного программного обеспечения, а к таким компаниям предъявляется дополнительный набор требований по обеспечению информационной безопасности, включая аутентификацию, аудит безопасности и антивирусы.